Ein Unternehmen wechselt seinen E-Mail-Server, passt aber die Firewall-Regeln nicht an. Die alten Regeln verweisen auf IP-Adressen, die nun einer anderen Anwendung zugeordnet sind. Drei Monate lang ist der interne Mailverkehr unverschlüsselt über das Internet erreichbar — und niemand bemerkt es, weil die Zuständigkeit für Firewall-Änderungen nirgends dokumentiert ist.
Fehlplanung und fehlende Anpassung gehören zu den heimtückischsten Gefährdungen, weil sie keine direkte Angriffshandlung erfordern. Das BSI führt sie als elementare Gefährdung G 0.18. Der Schaden entsteht schleichend — durch organisatorische Lücken, veraltete Konfigurationen und unklare Verantwortlichkeiten.
Was steckt dahinter?
Organisatorische Abläufe, technische Architekturen und Sicherheitsmaßnahmen müssen zur tatsächlichen Betriebsumgebung passen. Wenn sich die Umgebung ändert — neue Systeme, neue Mitarbeiter, neue Geschäftsprozesse, neue Bedrohungen — und die Sicherheitsmaßnahmen nicht mitziehen, entstehen Lücken. Diese Lücken sind oft unsichtbar, weil jeder einzelne Prozessschritt korrekt funktioniert — das Zusammenspiel aber nicht mehr stimmt.
Typische Planungsfehler
- Unklare Verantwortlichkeiten — Aufgaben sind keiner konkreten Person oder Rolle zugewiesen. Patches bleiben ungespielt, weil sich niemand zuständig fühlt. Sicherheitsvorfälle werden nicht gemeldet, weil der Meldeprozess unklar ist.
- Veraltete Architekturen — Die Netzwerksegmentierung stammt aus einer Zeit, als das Unternehmen halb so groß war. Neue Cloud-Dienste werden ohne Anpassung der Firewall-Regeln angebunden. Legacy-Systeme, für die es keine Updates mehr gibt, laufen weiter im Produktivnetz.
- Fehlende Berücksichtigung von Sicherheitsanforderungen bei der Beschaffung — Hardware und Software werden nach Funktionalität und Preis ausgewählt, ohne Sicherheitskriterien zu berücksichtigen. Die Folge: nachträgliche (teure) Absicherung oder — häufiger — dauerhafte Schwachstellen.
- Abhängigkeiten, die bei der Planung übersehen wurden — Ein Wartungsfenster für das Netzwerk unterbricht einen Geschäftsprozess, den niemand als netzwerkabhängig erkannt hat. Ein Zulieferer meldet Insolvenz an, und die Ersatzteilversorgung für kritische Systeme bricht zusammen.
Schadensausmass
Fehlplanung betrifft alle drei Schutzziele. Veraltete Konfigurationen öffnen Angriffswege (Vertraulichkeit, Integrität); fehlende Redundanz und nicht angepasste Wartungsprozesse bedrohen die Verfügbarkeit. Das tückische: Der Schaden tritt oft zeitversetzt ein, Wochen oder Monate nach der eigentlichen Planungslücke — und wird dann einer anderen Ursache zugeschrieben.
Praxisbeispiele
Wartungsvertrag ohne Sicherheitsanforderungen. Ein Unternehmen schließt einen Wartungsvertrag für seine Produktionssteuerung ab. Der Vertrag regelt Reaktionszeiten und Ersatzteile, enthält aber keine Sicherheitsanforderungen. Der Dienstleister nutzt für die Fernwartung ein unverschlüsseltes Protokoll und ein Standardpasswort. Ein Angreifer nutzt genau diesen Zugang, um in die Produktionsumgebung einzudringen.
Bauliche Änderung ohne Anpassung der Fluchtpläne. Bei einem Umbau werden Wände versetzt und Zugänge verändert. Die Fluchtwegpläne werden nicht aktualisiert. Bei einer Evakuierung folgen Mitarbeiter den veralteten Plänen und geraten in Sackgassen — die Evakuierungszeit verdoppelt sich.
Cloud-Migration ohne Firewall-Anpassung. Ein Unternehmen migriert seine Kundendatenbank in die Cloud, passt aber die Netzwerkrichtlinien nicht an. Der Datenbankport bleibt für das alte interne Netzwerksegment offen — und ist nun auch aus dem öffentlichen Internet erreichbar. Erst ein externer Penetrationstest deckt die Fehlkonfiguration auf.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 90 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.5.8 — Informationssicherheit im Projektmanagement: Sicherheitsanforderungen werden von Anfang an in Projekte integriert.
- A.5.37 — Dokumentierte Betriebsabläufe: Aktuelle, dokumentierte Verfahren verhindern, dass Wissen nur in Köpfen existiert.
- A.8.8 — Management technischer Schwachstellen: Systematisches Patching passt die technische Absicherung kontinuierlich an.
- A.5.2 — Informationssicherheitsrollen und -verantwortlichkeiten: Eindeutige Zuordnung von Verantwortlichkeiten verhindert Zuständigkeitslücken.
- A.8.9 — Konfigurationsmanagement: Systematische Verwaltung von Konfigurationen erkennt Abweichungen frühzeitig.
Erkennung:
- A.5.35 — Unabhängige Überprüfung der Informationssicherheit: Regelmäßige Audits decken Planungsdefizite auf.
- A.5.36 — Einhaltung von Richtlinien und Standards: Compliance-Prüfungen identifizieren Abweichungen vom Soll.
Reaktion:
- A.5.26 — Reaktion auf Informationssicherheitsvorfälle: Wenn Planungsdefizite zu Vorfällen führen, greifen vorbereitete Reaktionsprozesse.
BSI IT-Grundschutz
G 0.18 verknüpft der BSI-Grundschutzkatalog mit praktisch allen Bausteinen — ein Beleg dafür, wie grundlegend diese Gefährdung ist. Besonders relevant:
- ISMS.1 (Sicherheitsmanagement) — Der zentrale Baustein: Anforderungen an Planung, Umsetzung und kontinuierliche Verbesserung des ISMS.
- OPS.1.1.1 (Allgemeiner IT-Betrieb) — Organisatorische und technische Anforderungen an den laufenden Betrieb.
- OPS.1.2.2 (Archivierung) — Langfristige Planungsanforderungen für die Aufbewahrung von Informationen.
- DER.3.1 (Audits und Revisionen) — Systematische Überprüfung der Sicherheitsmaßnahmen auf Aktualität und Wirksamkeit.
Quellen
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.18 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27001:2022 Abschnitt 8.1 — Anforderungen an die betriebliche Planung und Steuerung
- ISO/IEC 27002:2022 Abschnitt 5.8 — Umsetzungshinweise zu Informationssicherheit im Projektmanagement